POLÍTICA DE AVISO DE PRIVACIDADE DA UNIMED DE AVARÉ

 

Inicialmente, agradecemos muito a sua visita! Saiba que, quando você ingressa em nosso portal, nos confia seus dados e informações pessoais. Por isso, nos comprometemos a manter essa confiança.

Nosso Aviso de Privacidade explicará a você, de forma clara e acessível, quais serão seus dados pessoais coletados, com quem serão compartilhados e em que locais serão armazenados.

Segue abaixo a nossa Política de Aviso de Privacidade:

A proteção da privacidade e dos dados pessoais faz parte dos nossos compromissos com a ética, a integridade, a transparência, a segurança da informação e o respeito aos direitos dos titulares.

Este Aviso de Privacidade explica, de forma clara e acessível, como a Unimed de Avaré realiza o tratamento de dados pessoais em seus canais digitais, unidades, serviços, atividades e relacionamentos. Aqui você encontrará informações sobre:

• quais dados pessoais podem ser coletados ou utilizados;
• como e por que esses dados são tratados;
• quais bases legais autorizam o tratamento;
• com quem os dados podem ser compartilhados;
• onde e por quanto tempo poderão ser armazenados;
• como são realizadas eventuais transferências internacionais;
• quais medidas de segurança são adotadas;
• como o titular pode exercer seus direitos.

A Unimed de Avaré – Cooperativa de Trabalho Médico atua como Controladora dos dados pessoais nas operações em que decide sobre as finalidades e os elementos essenciais do tratamento. Sua identificação completa e as informações sobre os papéis que poderá desempenhar estão apresentadas no item 1 deste Aviso

A Unimed de Avaré trata dados pessoais com responsabilidade, confidencialidade, prevenção e respeito aos direitos fundamentais, em conformidade com a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais, com as normas aplicáveis à saúde suplementar, com seu Programa de Integridade e com suas políticas de governança, privacidade e segurança da informação.

A simples navegação em nossos canais eletrônicos não representa consentimento geral para o tratamento de dados pessoais. Cada operação de tratamento será realizada com fundamento em uma das bases legais previstas na LGPD. Quando o consentimento for necessário, ele será solicitado de forma livre, informada, inequívoca, específica e destacada, podendo ser revogado pelo titular nos termos da legislação.

A Encarregada pelo Tratamento de Dados Pessoais da Unimed de Avaré é Renata Kelly Mercadante, formalmente designada para atuar como canal de comunicação entre a Controladora, os titulares dos dados pessoais e a Agência Nacional de Proteção de Dados – ANPD, bem como para desempenhar as demais atribuições previstas na legislação e na regulamentação aplicável.

Para esclarecer dúvidas ou exercer os direitos previstos na LGPD, o titular poderá acessar o Selo Canal de Comunicação LGPD, disponível no portal institucional da Unimed de Avaré, e preencher o Formulário de Atendimento ao Titular de Dados.

Este Aviso de Privacidade deve ser lido em conjunto com a Política de Cookies, os demais documentos de privacidade disponibilizados pela Unimed de Avaré e os Termos de Uso: https://drive.google.com/file/d/1VFwZDTJdbDMN46fAAnqsaIl9tGoOFHhG/view , que apresentam informações complementares sobre a utilização dos canais digitais.

 

1. IDENTIFICAÇÃO DO CONTROLADOR

1.1 Para os tratamentos de dados pessoais abrangidos por este Aviso de Privacidade, a organização que exerce o papel de Controladora é:

Razão social: UNIMED DE AVARÉ – COOPERATIVA DE TRABALHO MÉDICO
Nome fantasia: Unimed de Avaré
CNPJ: 50.368.034/0001-01
Endereço: Rua Santa Catarina, nº 1.981, Bairro Alto, Avaré/SP, CEP 18708-005
Telefone institucional: (14) 3711-7000
Portal institucional: www.unimedavare.coop.br

1.2 Na qualidade de Controladora, a Unimed de Avaré é responsável por tomar as decisões relativas às finalidades e aos elementos essenciais do tratamento de dados pessoais realizado no contexto de suas atividades institucionais, assistenciais, administrativas, contratuais, regulatórias, comerciais, de segurança, governança e integridade.

1.3 Em determinadas operações, a Unimed de Avaré poderá atuar como Operadora de dados pessoais, quando realizar o tratamento em nome e de acordo com as instruções lícitas e documentadas de outro Controlador, ou como Controladora conjunta, quando as decisões sobre o tratamento forem compartilhadas com outra organização. Nessas situações, as responsabilidades e finalidades aplicáveis serão definidas nos respectivos instrumentos e, quando necessário, informadas aos titulares.

1.4 Este Aviso aplica-se ao tratamento de dados pessoais de beneficiários e dependentes, representantes legais, médicos cooperados, prestadores de serviços, fornecedores, parceiros, candidatos, visitantes, usuários dos canais digitais e demais pessoas que mantenham relacionamento com a Unimed de Avaré.

1.5 O tratamento de dados pessoais relacionado às relações de trabalho poderá ser disciplinado também por Aviso de Privacidade Interno específico, sem prejuízo das disposições e dos princípios previstos neste documento.

 

2. PRINCÍPIOS E COMPROMISSOS DE PRIVACIDADE E INTEGRIDADE

As decisões sobre tratamento observam finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. A governança de privacidade é integrada à governança corporativa, ao Compliance, à Segurança da Informação, à gestão de riscos e aos controles internos.

• Privacidade e segurança desde a concepção e por padrão em novos processos, produtos, sistemas e mudanças relevantes.
• Coleta limitada ao mínimo necessário, acesso conforme função e revisão periódica de permissões.
• Registro das operações de tratamento, avaliação de riscos e elaboração de relatório de impacto quando cabível.
• Seleção, contratação e monitoramento de terceiros com requisitos de confidencialidade, privacidade, segurança, integridade e cooperação no atendimento de incidentes e direitos.
• Vedação ao uso de dados para discriminação ilícita, fraude, corrupção, retaliação ou qualquer finalidade incompatível com a legislação e o Código de Conduta.
• Transparência, rastreabilidade, treinamento, monitoramento, melhoria contínua e preservação de evidências das medidas adotadas.

 

3. DADOS PESSOAIS QUE PODEM SER TRATADOS

Conforme o relacionamento com o titular e as finalidades do tratamento, a Unimed de Avaré poderá tratar as seguintes categorias de dados pessoais, limitando sua coleta e utilização ao necessário para cada atividade:

Categoria	Exemplos
Identificação e cadastro	Nome, data de nascimento, CPF, RG, número de beneficiário, assinatura, filiação e dados do representante legal.
Contato e endereço	Telefone, e-mail, endereço residencial ou profissional e preferência de contato.
Contratuais e financeiros	Dados do plano, pagamentos, reembolsos, coparticipação, conta bancária e documentos fiscais.
Saúde e outros dados pessoais sensíveis	Informações clínicas e assistenciais, laudos, exames, diagnósticos, procedimentos, internações e dados biométricos, quando aplicáveis e necessários às finalidades informadas.
Interação e atendimento	Solicitações, manifestações, gravações de atendimento, protocolos, reclamações e comunicações.
Imagem e voz	Fotografias, vídeos, gravações de voz, registros de videoconferências e imagens de câmeras de segurança.
Tecnologia e navegação	Endereço IP, data e hora de acesso, informações sobre dispositivo e navegador, logs, cookies e eventos de segurança.
Integridade e relacionamento	Dados necessários à identificação e qualificação de pessoas, avaliação de conflitos de interesses, diligências de integridade, prevenção a fraudes, apurações e tratamento de manifestações recebidas pelo Canal de Denúncias.

As categorias acima poderão se sobrepor. Documentos, gravações, imagens e manifestações, por exemplo, poderão conter dados pessoais sensíveis, que receberão a proteção específica exigida pela legislação.

Dados pessoais de crianças e adolescentes serão tratados em seu melhor interesse, com proteção reforçada e mediante base legal adequada à operação. Quando o tratamento de dados de crianças estiver fundamentado no consentimento, este será obtido de forma específica e destacada de pelo menos um dos pais ou do responsável legal. Nas demais hipóteses legalmente admitidas, serão observados os requisitos aplicáveis, especialmente nos tratamentos necessários à assistência à saúde, à proteção da vida e ao cumprimento de obrigações legais ou regulatórias.

 

4. FONTES DE COLETA

Os dados podem ser fornecidos diretamente pelo titular ou por seu representante; recebidos de empregadores contratantes, médicos, cooperados, prestadores e integrantes do Sistema Unimed; obtidos de autoridades e bases públicas legitimamente acessíveis; ou gerados durante a prestação de serviços, o uso de sistemas, o atendimento, a auditoria, a segurança física e lógica e as atividades de integridade. A fonte e a finalidade devem ser compatíveis com a legislação e com as expectativas legítimas do titular.

 

5. FINALIDADES E BASES LEGAIS

 

Finalidade principal	Base legal aplicável, conforme o caso
Gestão e execução de contratos, cadastro, atendimento e prestação de serviços	Execução de contrato ou procedimentos preliminares; cumprimento de obrigação legal ou regulatória.
Assistência, regulação, auditoria e continuidade do cuidado em saúde	Tutela da saúde; cumprimento de obrigação legal ou regulatória; exercício regular de direitos.
Autorizações, faturamento, cobrança, reembolso e prevenção de perdas	Execução de contrato; cumprimento de obrigação legal; exercício regular de direitos; proteção do crédito.
Comunicação institucional e relacionamento	Execução de contrato; legítimo interesse, após avaliação de necessidade e equilíbrio; consentimento quando exigido.
Segurança física, controle de acesso e proteção de pessoas e patrimônio	Legítimo interesse; proteção da vida ou da incolumidade física; exercício regular de direitos.
Segurança cibernética, logs, prevenção e resposta a incidentes	Cumprimento de obrigação legal; legítimo interesse; exercício regular de direitos.
Prevenção e detecção de fraudes, ilícitos, corrupção e lavagem de dinheiro	Cumprimento de obrigação legal ou regulatória; exercício regular de direitos; legítimo interesse.
Canal de Denúncias, investigação interna e medidas de remediação	Cumprimento de obrigação legal; exercício regular de direitos; legítimo interesse, com proteção contra retaliação e acesso restrito.
Divulgação de imagem ou voz para campanhas, eventos e comunicação externa	Consentimento específico, quando não houver outra base legal aplicável.
Estudos e melhoria de serviços	Legítimo interesse com salvaguardas; estudos por órgão de pesquisa; dados anonimizados sempre que possível.
Atendimento aos direitos dos titulares e requisições de autoridades	Cumprimento de obrigação legal ou regulatória; exercício regular de direitos.

A base legal é definida para cada operação. O consentimento não será utilizado quando o tratamento puder e dever ocorrer por outra hipótese legal. Dados pessoais sensíveis observarão as hipóteses do artigo 11 da LGPD. O tratamento posterior para nova finalidade somente ocorrerá se houver compatibilidade, transparência e base legal adequada.

5.1 FORMA DO TRATAMENTO

O tratamento pode ocorrer por meios físicos e digitais e inclui, conforme a necessidade, coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, avaliação, controle, modificação, comunicação, transferência, difusão, extração, anonimização, bloqueio e eliminação. As operações são executadas por pessoas autorizadas e sistemas controlados, com registros, segregação de acessos e medidas de segurança proporcionais ao risco. Decisões e acessos relevantes devem ser rastreáveis e sujeitos a monitoramento.

 

6. CONSENTIMENTO

Quando o tratamento depender de consentimento, este será solicitado de forma livre, informada e inequívoca, para finalidades determinadas, e registrado de maneira que permita demonstrar sua obtenção. Quando exigido pela legislação, será específico e destacado das demais disposições. Autorizações genéricas para o tratamento de dados pessoais são inválidas. As consequências da recusa, quando existentes, serão informadas previamente ao titular.

O titular poderá revogar o consentimento a qualquer momento, gratuitamente e por procedimento facilitado, mediante solicitação pelo Canal de Comunicação LGPD. A revogação interromperá os tratamentos que dependam desse consentimento, sem comprometer a licitude das operações realizadas anteriormente.

A revogação poderá ser acompanhada de pedido de eliminação dos dados pessoais tratados com fundamento no consentimento. O pedido será atendido, ressalvadas as hipóteses legais de conservação previstas no artigo 16 da LGPD. Caso determinados dados precisem ser mantidos ou tratados com fundamento em outra base legal aplicável, a Unimed de Avaré informará ao titular as razões e as finalidades dessa manutenção.

A Unimed de Avaré manterá os registros necessários para demonstrar a obtenção e a revogação do consentimento e adotará as providências pertinentes, inclusive perante os operadores envolvidos, observadas as obrigações legais e regulamentares.7. USO DE IMAGEM E VOZ

Imagem e voz podem ser tratadas para identificação, segurança, registro de atendimentos e reuniões, produção de evidências, comunicação institucional, ações educativas ou divulgação de eventos. Antes da captação, sempre que viável, o titular será informado sobre finalidade, responsável, compartilhamentos, prazo de uso e forma de exercer seus direitos.

• Câmeras de segurança: utilizadas em áreas sinalizadas para segurança, prevenção de incidentes, proteção de pessoas e patrimônio e exercício regular de direitos. Não serão instaladas em locais de expectativa elevada de intimidade. O acesso às imagens será restrito e rastreável; o fornecimento seguirá procedimento interno e requisitos legais.
• Gravações de voz e reuniões: poderão ocorrer para atendimento, qualidade, treinamento, segurança, formalização de decisões ou produção de evidências, com aviso aos participantes e acesso limitado.
• Uso institucional ou promocional: quando depender de consentimento, haverá autorização específica, com indicação dos canais, finalidade e prazo ou critérios de duração. A autorização para assistência ou acesso a evento não será condicionada à divulgação promocional da imagem.
• Revogação e oposição: serão avaliadas prospectivamente, considerando materiais já produzidos ou divulgados, obrigações de guarda, liberdade de expressão, exercício regular de direitos e viabilidade técnica.

 

8. COOKIES E TECNOLOGIAS SEMELHANTES

Para melhorar a experiência de navegação, garantir a segurança e viabilizar o funcionamento adequado de seus canais digitais, a Unimed de Avaré utiliza cookies e tecnologias semelhantes.

Cookies são pequenos arquivos armazenados no dispositivo do usuário que permitem reconhecer determinadas informações sobre a navegação, preservar preferências e disponibilizar funcionalidades do site. Conforme sua finalidade, poderão ser utilizados:

• Cookies necessários: indispensáveis para o funcionamento, a segurança, a autenticação, a gestão de sessões e a disponibilização das funcionalidades essenciais do site. Esses cookies não dependem de consentimento e não podem ser desativados por meio do gerenciador de preferências. O usuário poderá bloqueá-los diretamente nas configurações de seu navegador, mas essa medida poderá comprometer o funcionamento de determinadas páginas ou serviços.
• Cookies analíticos ou de desempenho: permitem compreender como os usuários interagem com o site, identificar as páginas mais acessadas, avaliar o desempenho dos canais digitais e detectar eventuais erros. Esses cookies somente serão utilizados mediante consentimento do usuário.
• Cookies de funcionalidade: permitem memorizar preferências e escolhas realizadas pelo usuário, como idioma, região ou configurações personalizadas, proporcionando uma navegação mais adequada. Quando não forem estritamente necessários, sua utilização dependerá do consentimento do usuário.
• Cookies de publicidade: poderão ser utilizados para apresentar conteúdos ou anúncios de acordo com os interesses do usuário, medir a efetividade de campanhas e limitar a quantidade de vezes que determinado anúncio é exibido. Sua utilização estará condicionada ao consentimento prévio do usuário.

Os cookies não necessários somente serão ativados após manifestação livre, informada e inequívoca do usuário. O painel de preferências deverá permitir que o usuário aceite, rejeite ou configure as categorias de cookies com a mesma facilidade, sem opções previamente selecionadas.

O consentimento poderá ser alterado ou revogado a qualquer momento por meio do gerenciador de preferências disponível no site. A revogação não comprometerá a licitude do tratamento realizado anteriormente.

As informações atualizadas sobre as categorias de cookies utilizadas, seus fornecedores, finalidades, prazos de duração e eventuais compartilhamentos deverão constar da Política de Cookies e do respectivo gerenciador de consentimento.

Os registros de acesso às aplicações de internet serão tratados e mantidos em ambiente controlado e seguro, observados os prazos e requisitos estabelecidos pela Lei nº 12.965/2014, conhecida como Marco Civil da Internet, e pela regulamentação aplicável.

Para obter informações detalhadas sobre cookies e tecnologias semelhantes, consulte nossa Política de Cookies.

 

9. COMPARTILHAMENTO DE DADOS PESSOAIS

A Unimed de Avaré poderá compartilhar dados pessoais com organizações públicas ou privadas, no limite necessário ao cumprimento das finalidades descritas neste Aviso e mediante base legal adequada, respeitando as disposições da Lei Geral de Proteção de Dados Pessoais — LGPD.

O compartilhamento observará os princípios da finalidade, adequação, necessidade, transparência, segurança, prevenção e não discriminação, bem como as competências e responsabilidades de cada agente de tratamento. Quando envolver dados pessoais sensíveis, incluindo informações de saúde, serão observadas as hipóteses legais específicas e as restrições aplicáveis a esses dados.

As principais categorias de destinatários são:

Médicos cooperados e rede assistencial: profissionais de saúde, hospitais, clínicas, laboratórios e demais prestadores, para viabilizar atendimentos, exames, tratamentos, autorizações e outras atividades necessárias à assistência à saúde.

Integrantes do Sistema Unimed: para operações de intercâmbio, continuidade da assistência, gestão de atendimentos e cumprimento de obrigações contratuais, legais e regulatórias.

Empresas contratantes e clientes: para administração dos contratos, movimentação cadastral, faturamento e cumprimento de obrigações legais e contratuais, limitando o compartilhamento às informações necessárias a cada finalidade e preservando o sigilo das informações clínicas e assistenciais.

Fornecedores, parceiros e prestadores de serviços: incluindo fornecedores de tecnologia, consultorias e auditorias, para suporte às atividades administrativas, operacionais e assistenciais, conforme a finalidade da contratação e a necessidade de acesso aos dados.

Instituições financeiras e seguradoras: quando necessário à realização de pagamentos, reembolsos, operações financeiras ou securitárias relacionadas às atividades da Unimed de Avaré, observadas as restrições legais aplicáveis.

Autoridades públicas e órgãos reguladores: incluindo a Agência Nacional de Saúde Suplementar — ANS, para cumprimento de obrigações legais e regulatórias, fiscalização, regulação, monitoramento e avaliação do setor de saúde suplementar.

A Unimed de Avaré também poderá compartilhar dados pessoais para atender determinações judiciais ou requisições válidas de autoridades competentes e para o exercício regular de direitos em processos judiciais, administrativos ou arbitrais, observados os limites e requisitos legais aplicáveis.

Quando os destinatários atuarem como operadores de dados pessoais, deverão realizar o tratamento conforme as instruções da Unimed de Avaré e as obrigações estabelecidas contratualmente, incluindo medidas de segurança e confidencialidade, limitação de acesso e conservação dos dados pelo período necessário ou legalmente exigido. A contratação de suboperadores e o compartilhamento subsequente dependerão de autorização prévia e expressa da Unimed de Avaré, ressalvadas as obrigações legais aplicáveis.

Quando os destinatários atuarem como controladores independentes, serão responsáveis pelo tratamento que realizarem, conforme suas competências e obrigações legais, sem prejuízo das responsabilidades da Unimed de Avaré pelo compartilhamento.A Unimed de Avaré não comercializa dados pessoais.Em caso de reorganização societária, incorporação, fusão, aquisição ou outra operação empresarial, eventual transferência de dados pessoais somente ocorrerá quando necessária, compatível com as finalidades informadas e amparada por base legal adequada. Serão adotadas medidas para assegurar a continuidade da proteção dos dados, a preservação dos direitos dos titulares e a transparência sobre eventuais alterações no tratamento. A divulgação dessa possibilidade neste Aviso não constitui consentimento nem autorização irrestrita para transferência ou utilização dos dados.10. RESPONSABILIDADES DOS AGENTES DE TRATAMENTO

A UNIMED DE AVARÉ – COOPERATIVA DE TRABALHO MÉDICO, inscrita no CNPJ sob o nº 50.368.034/0001-01, na qualidade de Controladora dos dados pessoais abrangidos por este Aviso, é responsável por definir as finalidades e os elementos essenciais do tratamento, identificar e documentar as bases legais aplicáveis, assegurar transparência, atender aos direitos dos titulares, manter o registro das operações, gerenciar riscos, adotar medidas de segurança e demonstrar o cumprimento da legislação.

Os operadores devem tratar dados pessoais em nome da Unimed de Avaré e conforme suas instruções lícitas e documentadas, observando as obrigações contratuais e legais aplicáveis. Os terceiros que atuarem como controladores independentes serão responsáveis pelas decisões e operações de tratamento sob sua competência, devendo observar as bases legais, as finalidades do compartilhamento, os deveres de transparência, segurança e atendimento aos direitos dos titulares.

O Encarregado atua como canal de comunicação entre titulares, Controladora e ANPD, orienta pessoas envolvidas no tratamento e desempenha as atribuições legais e regulamentares. Colaboradores, cooperados e demais usuários autorizados devem observar as políticas internas, utilizar os dados somente para finalidades institucionais autorizadas e comunicar incidentes ou desvios. Cada agente responde por suas próprias obrigações e por danos quando presentes os requisitos legais de responsabilização.

 

11. TRANSFERÊNCIA INTERNACIONAL

As atividades de tratamento de dados pessoais realizadas por esta organização podem envolver a transferência internacional de dados, especialmente quando utilizamos serviços de infraestrutura tecnológica e armazenamento em nuvem com servidores localizados fora do Brasil.

Atualmente, os dados provenientes de nossos sistemas podem ser armazenados em provedores de nuvem reconhecidos mundialmente, como Google Cloud Platform (GCP) e Amazon Web Services (AWS), que adotam elevados padrões de segurança da informação e proteção de dados pessoais. Os data centers utilizados estão situados, predominantemente, no Brasil, podendo haver processamento em outras regiões que garantam nível de proteção adequado.

Para as situações em que há compartilhamento internacional de dados pessoais, priorizamos o tratamento realizado em países que possuam grau de proteção equivalente ao previsto na LGPD e/ou firmamos cláusulas contratuais padrão que assegurem o cumprimento das normas de privacidade, em conformidade com a Resolução CD/ANPD nº 19/2024 e o artigo 33 da LGPD. Em casos excepcionais, a transferência poderá ocorrer com base em outras hipóteses legais previstas na legislação, sempre mediante salvaguardas que garantam a integridade e a confidencialidade das informações.

Além disso, alguns serviços ou produtos oferecidos podem envolver parceiros comerciais localizados no exterior. Nesses casos, aplicamos os mesmos níveis de proteção e segurança exigidos internamente, assegurando que os direitos dos titulares sejam respeitados e que as operações estejam alinhadas à legislação aplicável.

Mesmo nas situações em que o tratamento de dados pessoais ocorra fora do escopo territorial da LGPD, comprometemo-nos a adotar medidas equivalentes de segurança e privacidade, garantindo transparência, responsabilidade e o atendimento aos direitos dos titulares, sempre que solicitado por meio de nossos canais oficiais de comunicação.

 

12. RETENÇÃO, ELIMINAÇÃO E ANONIMIZAÇÃO

Os dados serão conservados pelo período necessário ao cumprimento da finalidade e dos prazos legais, regulatórios, contratuais e de defesa de direitos. A duração não é única para todas as categorias: ela é definida em tabela de temporalidade e considera a natureza do dado, a relação existente, os requisitos assistenciais, fiscais e regulatórios, o risco e os prazos prescricionais. Sempre que possível, o prazo ou o critério de retenção será informado no momento da coleta ou no instrumento específico aplicável.

Encerrado o tratamento, os dados serão eliminados, anonimizados ou mantidos apenas nas hipóteses do artigo 16 da LGPD, inclusive para cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência regular a terceiro ou uso exclusivo da Controladora com anonimização. Cópias de segurança seguem ciclos próprios de retenção e substituição, permanecem protegidas e não serão restauradas para uso ordinário incompatível com a finalidade original.

 

13. SEGURANÇA DA INFORMAÇÃO E GESTÃO DE INCIDENTES

A Unimed de Avaré adota medidas técnicas, administrativas, físicas e organizacionais destinadas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação, divulgação ou qualquer forma de tratamento inadequado.

As medidas adotadas são proporcionais à natureza dos dados tratados, às finalidades do tratamento, ao contexto das operações e aos riscos envolvidos, tendo como referências as boas práticas de governança, a legislação aplicável e as normas ABNT NBR ISO/IEC 27001 e ABNT NBR ISO/IEC 27701. A referência a essas normas não representa, por si só, declaração de certificação.

Entre as medidas de segurança e privacidade adotadas pela Unimed de Avaré estão:

• classificação das informações de acordo com sua natureza, criticidade e nível de confidencialidade;
• controle de acesso baseado na necessidade de conhecimento e no princípio do menor privilégio;
• autenticação de usuários, segregação de funções e revisão periódica de acessos e credenciais;
• criptografia, pseudonimização ou outros controles equivalentes, quando adequados e tecnicamente aplicáveis;
• registro, monitoramento e análise de eventos relacionados à segurança;
• gestão de vulnerabilidades, aplicação de atualizações e realização de testes de segurança;
• execução de cópias de segurança e adoção de medidas de continuidade, contingência e recuperação;
• desenvolvimento, aquisição e manutenção segura de sistemas e aplicações;
• gestão de mudanças tecnológicas e avaliação de riscos relacionados a novos processos, produtos e serviços;
• avaliação e monitoramento de fornecedores, operadores e demais terceiros que realizem tratamento de dados;
• proteção física e ambiental das instalações, equipamentos e recursos de tecnologia;
• descarte seguro de documentos, mídias, equipamentos e demais suportes que contenham dados pessoais;
• celebração de termos de confidencialidade e estabelecimento de responsabilidades contratuais;
• realização de treinamentos e ações periódicas de conscientização para colaboradores, cooperados, prestadores de serviços e terceiros;
• manutenção de procedimentos destinados à prevenção, identificação, comunicação, contenção, investigação, resposta e recuperação de incidentes.

O acesso aos dados pessoais é limitado às pessoas devidamente autorizadas e que necessitem dessas informações para o desempenho de suas funções. Os ambientes tecnológicos e os serviços de armazenamento utilizados pela Unimed de Avaré estão sujeitos a controles de acesso, monitoramento e mecanismos destinados a preservar a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações.

Os dados pessoais serão mantidos pelo período necessário ao cumprimento das finalidades informadas, das obrigações legais, regulatórias e contratuais e ao exercício regular de direitos, observados os critérios e prazos estabelecidos nos instrumentos de gestão e temporalidade documental da Unimed de Avaré.

Embora sejam adotadas medidas razoáveis e proporcionais para a proteção das informações, nenhum ambiente físico ou tecnológico é absolutamente imune a riscos. Por essa razão, a Unimed de Avaré mantém processo de gestão de incidentes destinado a identificar, registrar, avaliar, conter, investigar e tratar ocorrências que possam comprometer dados pessoais ou ativos de informação.

Os incidentes envolvendo dados pessoais serão avaliados considerando, entre outros elementos, a natureza e a categoria dos dados afetados, a quantidade e o perfil dos titulares envolvidos, a extensão do incidente, suas possíveis consequências, as medidas de segurança existentes e as providências adotadas para contenção e mitigação dos riscos.

Quando o incidente puder ocasionar risco ou dano relevante aos titulares, a Unimed de Avaré realizará as comunicações à Agência Nacional de Proteção de Dados e aos titulares afetados, nos prazos e condições estabelecidos pela legislação e pela regulamentação aplicável, sem prejuízo de outras comunicações legalmente exigidas.

Os incidentes serão documentados e analisados para identificação de suas causas, adoção de medidas corretivas e preventivas, preservação das evidências necessárias, aperfeiçoamento dos controles internos e prevenção de ocorrências semelhantes.

O titular também deve contribuir para a proteção de seus dados e credenciais de acesso, especialmente mediante:

• utilização de senhas fortes e de uso pessoal;
• não compartilhamento de senhas, códigos de autenticação ou credenciais com terceiros;
• encerramento da sessão após o uso, principalmente em dispositivos compartilhados;
• manutenção dos dispositivos e aplicativos devidamente atualizados;
• atenção a mensagens, links ou solicitações suspeitas;
• comunicação imediata à Unimed de Avaré sobre perda de credenciais, acesso não autorizado, uso indevido da conta ou qualquer suspeita de incidente de segurança.

Essas recomendações não afastam nem reduzem as responsabilidades legais e institucionais da Unimed de Avaré quanto à proteção dos dados pessoais sob sua responsabilidade.14. DIREITOS DOS TITULARES

Mediante requisição e confirmação segura de identidade, o titular poderá exercer os direitos previstos na LGPD, entre eles:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
• portabilidade, observadas a regulamentação, os segredos comercial e industrial e a segurança;
• eliminação de dados tratados com consentimento, ressalvadas as hipóteses legais de conservação;
• informação sobre compartilhamentos e sobre a possibilidade de não consentir e suas consequências;
• revogação do consentimento e peticionamento perante a ANPD;
• oposição a tratamento baseado em dispensa de consentimento quando houver descumprimento da LGPD;
• apresentação de reclamação perante a Agência Nacional de Proteção de Dados e, quando cabível, perante órgãos de defesa do consumidor;
• revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses e informações claras sobre critérios e procedimentos, ressalvados os segredos comercial e industrial.

 

A Unimed de Avaré poderá solicitar informações estritamente necessárias para confirmar a identidade do solicitante, verificar sua representação e prevenir fraudes. As solicitações serão analisadas e respondidas nos prazos legais e regulamentares aplicáveis. Quando não for possível atender integralmente ao pedido, serão informadas as razões de fato ou de direito, observada a proteção dos dados de terceiros. O exercício dos direitos será gratuito.

Caso o titular de dados queira exercer qualquer um de seus direitos expressos na Lei, bem como tirar dúvidas referentes a esta documentação, basta clicar no Selo “Canal de Comunicação LGPD” em nosso site e preencher o “Formulário de Atendimento ao Titular de Dados”.

Por meio do Selo “Canal de Comunicação LGPD”, o interessado poderá acessar o Portal Privacidade&Você, consultar os documentos e as informações de privacidade disponibilizados pela Unimed de Avaré e encaminhar solicitações relacionadas ao tratamento de seus dados pessoais. Eventuais registros de revisão de controles apresentados no portal possuem caráter informativo e não constituem, por si só, certificação de conformidade integral com a LGPD.

 

15. GOVERNANÇA, COMPLIANCE E PACTO BRASIL PELA INTEGRIDADE EMPRESARIAL

A proteção de dados integra o Programa de Integridade da Unimed de Avaré. As atividades são submetidas a papéis e responsabilidades definidos, controles documentados, gestão de riscos, prestação de contas, auditoria e melhoria contínua. A alta administração apoia a cultura de ética, transparência, proteção de dados e segurança da informação.

Em alinhamento aos compromissos do Pacto Brasil pela Integridade Empresarial, a Cooperativa promove prevenção, detecção e resposta a irregularidades; regras de relacionamento com o poder público e terceiros; diligência de integridade proporcional ao risco; controles sobre conflitos de interesses, brindes, doações e patrocínios; capacitação; registros confiáveis; Canal de Denúncias acessível; apuração imparcial; proteção contra retaliação; medidas corretivas e monitoramento do Programa de Integridade.

Dados obtidos em diligências, denúncias ou investigações serão tratados com acesso restrito, necessidade de conhecimento, confidencialidade, independência e respeito ao contraditório quando aplicável. O Canal de Denúncias não substitui o canal destinado ao exercício de direitos de proteção de dados.

 

16. RESPONSABILIDADES DO TITULAR

O titular deve fornecer informações corretas, proteger credenciais, evitar o envio desnecessário de dados de terceiros e comunicar suspeitas de uso indevido pelos canais oficiais. Essas responsabilidades não afastam os deveres legais da Unimed nem transferem ao titular riscos que devam ser geridos pela Cooperativa.

 

17. ATUALIZAÇÕES E CONTROLE DO DOCUMENTO

Este Aviso poderá ser atualizado para refletir mudanças legais, regulatórias, tecnológicas ou operacionais. A versão vigente, a data de revisão e alterações relevantes serão divulgadas nos canais oficiais. Quando a mudança afetar de modo relevante uma operação baseada em consentimento, nova manifestação será solicitada se necessária.

 

18. REFERÊNCIAS NORMATIVAS E DOCUMENTOS RELACIONADOS

• Constituição Federal; Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais; Lei nº 12.965/2014 – Marco Civil da Internet; Lei nº 9.656/1998 e regulamentação da saúde suplementar.
• Regulamentos e orientações da Agência Nacional de Proteção de Dados, inclusive sobre atuação do Encarregado, comunicação de incidentes e transferência internacional de dados.
• ABNT NBR ISO/IEC 27001 – Sistemas de gestão da segurança da informação; ABNT NBR ISO/IEC 27701 – Sistema de gestão da informação de privacidade.
• Estatuto Social, Código de Conduta, Política do Programa de Integridade, Política de Cookies, Política de Segurança da Informação, normas de proteção de dados, gestão documental, terceiros, Canal de Denúncias e procedimentos internos aplicáveis.
• Diretrizes do Pacto Brasil pela Integridade Empresarial e respectivo Guia de Autoavaliação da Controladoria-Geral da União.

 

19. ENCARREGADA E CANAIS DE CONTATO

Encarregada pelo Tratamento de Dados Pessoais: Renata Kelly Mercadante. Solicitações de titulares, comunicações da ANPD e dúvidas sobre privacidade devem ser encaminhadas pelo Canal de Comunicação LGPD disponível no portal institucional da Unimed de Avaré. O canal oficial deve manter publicados e atualizados a identidade da Encarregada, o meio eletrônico de contato e as orientações para protocolo e acompanhamento da solicitação.

Denúncias de fraude, corrupção, assédio, conflito de interesses ou outras violações éticas devem ser registradas no Canal de Denúncias divulgado no portal institucional, com possibilidade de confidencialidade e proteção contra retaliação. Incidentes ou suspeitas de segurança devem ser comunicados imediatamente pelos canais oficiais da Cooperativa.

19.1 Identificação da Encarregada

A Encarregada pelo Tratamento de Dados Pessoais da Unimed de Avaré é:

Encarregada titular: Renata Kelly Mercadante

Encarregada substituta: Natalia Caroline Batista

Endereço: Avenida Perimetral, S/N - Distrito Industrial Luiz Pedro Caffer - Quadra S/N, Lote 1A, Bloco 1, Térreo/Piso - Pompeia/SP - CEP 17.586-220

Telefone: (14) 3316-8981

19.2 Canal de Comunicação LGPD

Solicitações para exercício dos direitos dos titulares, dúvidas relacionadas à privacidade e à proteção de dados pessoais e comunicações destinadas à Encarregada poderão ser encaminhadas por meio do Selo “Canal de Comunicação LGPD”, disponível no portal institucional da Unimed de Avaré.

O titular deverá preencher o Formulário de Atendimento ao Titular de Dados e fornecer apenas as informações necessárias à identificação, à segurança do atendimento e à análise da solicitação.

Canal eletrônico: https://www.privacidade.com.br/portal-de-privacidade?site_url=https%3A%2F%2Fwww.unimedavare.com.br%2Fperfil&token=b19c6fb3ac32654ea3be26b74f5ccee1

Endereço institucional: Rua Santa Catarina, nº 1.981, Bairro Alto, Avaré/SP, CEP 18708-005
Telefone institucional: (14) 3711-7000

19.3 Comunicações da ANPD

As comunicações da Agência Nacional de Proteção de Dados poderão ser encaminhadas à Encarregada por meio do Canal de Comunicação LGPD ou pelos demais meios oficiais mantidos e divulgados pela Unimed de Avaré.

19.4 Canal de Denúncias

Denúncias relacionadas a fraude, corrupção, assédio, conflito de interesses ou outras violações éticas deverão ser registradas no Canal de Denúncias divulgado no portal institucional, observadas as garantias de confidencialidade, imparcialidade e proteção contra retaliação.

O Canal de Denúncias não substitui o Canal de Comunicação LGPD destinado ao exercício dos direitos dos titulares.

19.5 Incidentes de segurança

Incidentes ou suspeitas de incidentes envolvendo dados pessoais, credenciais, sistemas ou ativos de informação deverão ser comunicados imediatamente pelos canais oficiais da Unimed de Avaré, para adoção das medidas de contenção, investigação, registro e resposta.

 

20. APROVAÇÃO

Esta Política foi revisada e aprovada pela instância competente da Unimed de Avaré e deve ser observada em todas as unidades e atividades abrangidas por seu escopo.